Integrare i log di AWS CloudTrail con Microsoft Defender per il cloud (anteprima)

Microsoft Defender per il cloud può raccogliere eventi di gestione CloudTrail di Amazon Web Services (AWS) per aumentare la visibilità delle operazioni di identità, dei cambiamenti dei permessi e di altre attività sul piano di controllo nei tuoi ambienti AWS.

L'ingestione CloudTrail aggiunge segnali basati sull'attività alle capacità Cloud Infrastructure Entitlement Management (CIEM) di Defender per il cloud, permettendo di basare l'analisi del rischio di identità e permessi non solo su diritti di identità configurati, ma anche su un utilizzo osservato.

L'ingestione di CloudTrail migliora CIEM aiutando a identificare permessi non utilizzati, ruoli configurati male, identità dormienti e potenziali percorsi di escalation dei privilegi. Fornisce anche un contesto di attività che rafforza il rilevamento della deriva della configurazione, le raccomandazioni sulla sicurezza e l'analisi del percorso di attacco.

L'inserimento CloudTrail è disponibile per singoli account AWS e organizzazioni AWS che usano la registrazione centralizzata.

Prerequisiti

Prima di abilitare l'ingestione di AWS CloudTrail, assicurati che il tuo account AWS disponga di:

• Piano Microsoft Defender Cloud Security Posture Management abilitato per l'abbonamento Azure. Vedere Abilitare il piano di Defender CSPM.

• Autorizzazione per accedere a AWS CloudTrail.

• Accesso al bucket Amazon S3 che archivia i file di log cloudTrail.

• Accesso alle notifiche della coda Amazon SQS collegate a quel bucket.

• Accesso alle chiavi del Servizio di gestione delle chiavi AWS se i log di CloudTrail sono crittografati. Vedi Crittografia dei file di log di CloudTrail con AWS KMS.

• Autorizzazioni per creare o modificare percorsi CloudTrail e le risorse necessarie se si effettua il provisioning di un nuovo percorso.

• CloudTrail configurato per registrare gli eventi di gestione. Vedere Registrazione degli eventi di gestione con CloudTrail.

Configurare l'inserimento di CloudTrail

Per abilitare l'ingestione di CloudTrail per il tuo connettore AWS, segui questi passaggi:

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Impostazioni dell'ambiente.

3. Seleziona il connettore AWS che vuoi configurare.

4. Sotto Monitoraggio copertura, aprire Impostazioni.

5. Attiva l'ingestione di AWS CloudTrail (Anteprima). Questa impostazione aggiunge opzioni di configurazione CloudTrail al flusso di lavoro di configurazione.

   

6. Scegliere se integrarsi con un percorso CloudTrail esistente o crearne uno nuovo:

   • Selezionare Specificare manualmente i dettagli finali per usare un percorso CloudTrail esistente.

     1. Inserisci l'ARN del bucket Amazon S3 e l'ARN della coda Amazon SQS associati al trail esistente.
     2. Se richiesto, distribuire o aggiornare lo stack CloudFormation fornito da Defender per il cloud.

     Note

     Quando si seleziona un percorso esistente, Defender per il cloud esegue una raccolta una tantum di un massimo di 90 giorni di eventi di gestione cronologici di CloudTrail. Se disabiliti l'ingestione di CloudTrail, i dati storici raccolti durante la raccolta unica vengono rimossi. Riabilitare l'inserimento di CloudTrail attiva una nuova raccolta di dati cronologici.

   • Selezionare Crea un nuovo AWS CloudTrail per fornire una nuova traccia.

     1. Distribuire il modello CloudFormation o Terraform fornito da Defender per il cloud quando richiesto.
     2. Al termine della distribuzione, individuare l'ARN della coda SQS nella console AWS.
     3. Tornare a Defender per il cloud e immettere l'ARN SQS nel campo SQS ARN .

     

Come usa Defender per il cloud i dati di CloudTrail

Dopo aver completato la configurazione:

• AWS CloudTrail registra gli eventi di gestione dall'account AWS.
• I file di log vengono scritti in un bucket Amazon S3.
• Amazon SQS invia notifiche quando sono disponibili nuovi log.
• Defender per il cloud interroga la coda SQS per recuperare i riferimenti ai file di log.
• Defender per il cloud elabora i dati di telemetria dei log e arricchisce i dati ciem e le informazioni sul comportamento.

È possibile personalizzare i selettori di eventi CloudTrail per modificare gli eventi di gestione acquisiti.

Convalidare l'inserimento di CloudTrail

Per verificare che i dati di telemetria di CloudTrail vengano trasmessi a Defender per il cloud:

• Verificare che il bucket S3 conceda a Defender per il cloud l'autorizzazione per leggere i file di log.
• Verificare che le notifiche SQS siano configurate per i nuovi recapiti dei log.
• Verificare che i ruoli IAM consentano l'accesso agli artefatti CloudTrail e agli oggetti crittografati.
• Rivedere le raccomandazioni di Defender per il cloud e le informazioni dettagliate sulle identità dopo la configurazione.

I segnali possono impiegare tempo a comparire a seconda della frequenza di consegna di CloudTrail e del volume degli eventi.

Passo successivo